Der Europäische Gerichtshof (EuGH) hat am 16. Juli 2020 mit seinem Urteil (Schrems II C-311/18) das Datenschutzabkommen Privacy Shield zwischen der EU und den USA für ungültig erklärt. Als der EuGH am 6.10.2015 den Vorgänger „Safe Harbour“ für ungültig erklärte (C-362/14), folgte daraufhin eine Prüfung der Webseiten deutscher Unternehmen durch die Aufsichtsbehörden. Insbesondere auf die Nutzung von Google Analytics und Datenübermittlung in die USA wurde geprüft und anschließend bei den Betreibern hinterfragt. Die Strafen waren aus heutiger Sicht noch überschaubar. Adobe soll beispielsweise 8.000 Euro Bußgeld gezahlt haben.
Jetzt sieht es wieder so aus, als würden die Aufsichtsbehörden eine umfangreiche Prüfung planen. Nachdem der Landesdatenschutzbeauftragte von Baden-Württemberg erst kürzlich eine Orientierungshilfe zum Umgang mit dem EuGH-Urteil veröffentlicht hat, kündigte er am 19.8.2020 in einer Pressemitteilung eine länderübergreifende Prüfung von Webseiten an. In der Ankündigung wird als erster Schritt die Prüfung von Medienunternehmen genannt. Darauf sollte sich aber niemand verlassen. Eine automatisierte Suche kann nicht so genau unterscheiden und einen aufgedeckten Verstoß werden die Behörden nicht ignorieren.
Auf den großen Internetseiten, egal ob Onlineshops oder Medienangebote, hat sich in den letzten Wochen viel getan. Die halbherzigen Cookiebanner wurden durch komplexe Consenttools mit detaillierter Abfrage ersetzt. Dabei werden offensichtlich Methoden zur Einholung der Einwilligung in die Datenerhebung eingesetzt, die nicht als datenschutzfreundlich und transparent gelten können. Die Bandbreite geht dabei von geschickter farblicher Hervorhebung des Buttons für die uneingeschränkte Einwilligung bis zu übertriebenem Detailgrad in der Abfrage. Das lässt die Nutzer ihre Geduld verlieren. Relativ neu ist die doppelte Abfrage mit einem Schalter für die „Einwilligung“ und einem weiteren Schalter für „Berechtigtes Interesse“.
Letztlich verstoßen vermutlich alle diese Varianten gegen die Grundprinzipien der Datenschutz-Grundverordnung (DSGVO). Es bleibt abzuwarten, wie die Aufsichtsbehörden dies in ihrer Prüfung bewerten. Da parallel auch an einer Gesetzesänderung zur DSGVO-konformen Anpassung des Telemediengesetzes gearbeitet wird, welches die Erhebung von Daten über die Webseiten aktuell auch ohne Einwilligung zumindest eingeschränkt erlaubt, ist die Auslegung der Rechtslage durch die Aufsichtsbehörden schwer vorhersehbar.
Alle Betreiber eines Internetauftritts sollten jedoch kurzfristig die Sicherheit der eigenen Internetpräsenz auf folgende Punkte prüfen:
- Ist die Verbindung zum Server für die Nutzer immer verschlüsselt (HTTPS als Voreinstellung, besser noch HSTS=HTTP Strict Transport Security)?
- Sind alle möglichen Einstellungen zum Schutz der eigenen Seite gegen Angriffe eingeschaltet (z. B. Content Security Policy, Subressource Security Policy)?
Und insbesondere die Datenerhebung und Datenübermittlung in die USA sind auf der eigenen Seite prüfen:
- Werden eingebundene Ressourcen Dritter, wie z. B.
- Performanceunterstützung,
- eingebundene Fonts,
- Sicherheitsdienstleister und
- Identitätsprüfungen
beschrieben?
- Ist sichergestellt, dass keiner dieser Drittanbieter Daten in die USA übermittelt und in der eigenen Datenschutzerklärung auf Privacy Shield verweist?
- Ist ein Trackingtool im Einsatz? Wenn es Google Analytics ist: Kann auf die Daten vorübergehend verzichtet und das Tracking abgeschaltet werden? Viele Unternehmen nutzen die Informationen kaum. Ist dies nicht möglich, sind dann wenigstens die EU-Standardverträge mit Google abgeschlossen worden?
- Sind Zählpixel oder andere Methoden zur Erhebung des Nutzerverhaltens im Einsatz?
- Werden Daten über das Nutzerverhalten an Social-Media-Plattformen weitergegeben?
- Falls einer der oben genannten Punkte zutrifft: Ist ein Consentpopup für die detaillierte Abfrage der Einwilligung in die Datenerhebung vorhanden? Ist sichergestellt, dass die Trackingfunktion vor Einwilligung tatsächlich nicht aktiv ist?
Und zum Abschluss:
- Sind alle verwendeten Cookies, Local Storages, eingebundene Ressourcen Dritter, Tracking, Zählpixel, Plugins und alternative Methoden zur Datenerhebung in der Datenschutzerklärung genannt und beschrieben?
- Sind alle Löschfristen und die Betroffenenrechte in der Datenschutzerklärung aufgeführt?
- Sind intern auch tatsächlich konkrete Löschfristen oder -regeln festgelegt und gibt es beschriebene Prozesse für die Durchführung der Löschung?
Wer diese Punkte einmal abgearbeitet hat, sollte keine unzulässige Datenübermittlung in die USA übersehen haben. Zur weiteren Lektüre empfehlen wir den Besuch der Webseite des Landesbeauftragten für Datenschutz und Informationssicherheit Baden-Württemberg, www.baden-wuerttemberg.datenschutz.de, und dort die via Kurzlink https://bit.ly/3lv1hhw und https://bit.ly/34NNIE4 erreichbaren Unterseiten.
